赵明

2015年11月16日，国内著名安全研究团队启明星辰积极防御实验室成功捕获了国内首例利用Redis漏洞实现的DDoS僵尸网络控制样本。自Redis漏洞被公布以来，网络空间出现了大量利用该漏洞的攻击事件，但利用该漏洞快速部署僵尸程序，并通过僵尸网络实施高强度的分布式拒绝服务攻击还是首例。

深厚的攻防技术积累与全新的检测产品——XDS有效协同是本次样本被捕获的关键。

启明星辰在某企业客户IT系统现场捕获了该僵尸程序样本，并帮助该用户成功清除了该僵尸程序，这得益于该用户部署了XDS产品。

在XDS产品上线之时，启明星辰安全运维专家协助用户，结合该用户IT环境特征与应用系统的逻辑特征制定了相应的应用异常检测规则，其中：Web服务器业务流白名单是本次样本捕获的关键规则集。该Web服务器对互联网提供某种数据服务，后台具有数据库服务器，企业内部有严格的运维规范，因此制定的业务流白名单规则包含了如下部分关键逻辑：

1）该Web服务器仅能够被互联网终端通过80端口访问。

2）新建连接必须从登陆录页面开始访问。

3）Web服务器可以主动访问内部特定终端，禁止主动访问互联网。

4）内部运维接口固定IP地址。

5）对数据库的访问仅能通过该应用系统的标准数据库访问JDBC接口进行数据库访问。

任何违背以上规则的流量将触发告警，同时XDS产品会连续抓取5分钟的流量数据供安全运维人员分析。

2015年11月15日，该用户发现XDS产品报告了一条Web服务器对互联网的一次主动访问事件，请求启明星辰安全运维专家协助分析该事件。……